パスキー（Passkey）入門・設定ガイド｜パスワードレス認証でフィッシングを根絶する

🛡️ この記事について：「情報処理安全確保支援士」（IPA認定 国家資格）保有者が執筆・一次情報を確認しています。参照先は警察庁・IPA・消費者庁など公的情報を優先。 → 編集方針・運営者情報

広告・PRを含みます。この記事にはアフィリエイトリンクが含まれます。掲載内容は編集方針に基づいて作成していますが、価格・在庫・キャンペーン内容はリンク先で最新情報を確認してください。

「パスキー」って最近よく聞くけど、パスワードの代わりになるの？

はい。パスキーはパスワードを完全に不要にする次世代認証です。フィッシング詐欺が構造的に成立しなくなる唯一の方式です。今から設定しましょう。

パスキー（Passkey）とは何か

パスキーはFIDO2（WebAuthn）という国際標準規格に基づく認証方式です。スマートフォンの指紋・顔認証・PINを使って認証し、パスワードの入力が不要になります。

パスキーがフィッシングに強い理由

パスキーは「このサービスのURLに紐づいた秘密鍵」で動作します。偽サイトのURLと本物のURLが一致しないため、偽サイトでは認証自体が成立しません。フィッシング詐欺が構造的に不可能になります。

パスキーの仕組みをシンプルに説明

• 登録時：あなたのスマホが「公開鍵（サービス側に保存）」と「秘密鍵（スマホ内に保存）」のペアを生成
• 認証時：サービスが問題（チャレンジ）を出し、スマホが指紋で秘密鍵を使って答える
• パスワードはどこにも送信・保存されないため、漏洩しようがない

パスキーに対応しているサービス（2025年）

• Google：Googleアカウント（Gmail・YouTube等）
• Apple ID：iCloud・App Store等
• Microsoft：Microsoft アカウント
• Amazon：amazon.co.jp
• PayPay、メルカリ、楽天（順次対応拡大中）
• その他：X（旧Twitter）、1Password、Bitwarden、GitHub等

iPhoneでパスキーを設定する手順（Google）

Androidでパスキーを設定する手順（Google）

PR / 広告　パスキーを物理キーで持ち歩きたい場合はFIDO2対応のセキュリティキーが使えます。

🛍 FIDO2対応セキュリティキーを探す

Amazon楽天Yahoo!

パスキーが「パスワードの次」と言われる理由

パスキーは、パスワードそのものを使わずに本人確認をする、新しい認証の仕組みです。スマホの指紋認証や顔認証、PINを使ってログインでき、覚えるべきパスワードがありません。FIDO2／WebAuthnという国際標準にもとづいており、Google、Apple、Microsoftをはじめ、対応するサービスが急速に増えています。

パスキーが画期的なのは、「フィッシング詐欺が原理的に成立しない」点です。パスキーは「そのサービスの正規のURL」と結びついた暗号鍵で認証するため、偽サイトでは鍵が一致せず、認証そのものが行われません。パスワードのように「うっかり偽サイトに入力してしまう」という事故が起こりようがないのです。さらに、認証に使う秘密の鍵はあなたの端末内から出ないため、サービス側が漏えいしても盗まれません。パスワードと2段階認証の弱点を、根本から解決する仕組みといえます。

パスキーの仕組みをやさしく理解する

少し専門的になりますが、仕組みを知っておくと安心して使えます。パスキーを登録すると、あなたの端末内に「秘密鍵」、サービス側に「公開鍵」という対になる鍵が作られます。秘密鍵は端末の外に出ることはなく、指紋や顔認証で守られています。

ログインのとき、サービスは「この問題を、あなたの秘密鍵で解いてみせて」と問いかけます。あなたが指紋や顔で認証すると、端末内の秘密鍵がその問題に答え、サービス側は公開鍵で「確かに本人だ」と確認します。パスワードのような「秘密の合言葉」をやり取りしないため、通信を盗み見られても、サービスが漏えいしても、あなたのログイン情報は守られるのです。利用者がこの仕組みを意識する必要はなく、実際の操作は「指紋をかざすだけ」とむしろ簡単になります。

パスキーへ移行するときの注意点

パスキーは非常に強力ですが、移行にあたって知っておきたい点もあります。まず、パスキーは端末や、iCloudキーチェーン・Googleパスワードマネージャーなどのクラウドに保存されます。複数端末で使うなら、こうした同期の仕組みを理解しておくと安心です。

また、すべてのサービスがまだパスキーに対応しているわけではありません。当面は、パスキーに対応したサービスから順に移行し、未対応のサービスではパスワード＋2段階認証を続けるという併用が現実的です。移行後も、念のため従来のログイン方法（パスワードやバックアップコード）を緊急用として残しておくと、端末を変えたときなどに困りません。少しずつ、対応サービスから慣れていきましょう。

パスキーって便利そうだけど、なんだか難しそうで手が出しづらいな…。

操作は「指紋をかざすだけ」で、むしろパスワードより簡単なんです。仕組みは難しく聞こえても、使う側は何も覚えなくていい。まずはGoogleアカウントなど対応サービス一つから試してみてください。一度使うと、その手軽さと安心感に驚きますよ。